Temario del curso
Burp Suite Professional en el proceso de auditoría de TI
- El papel de la herramienta en las fases de planificación, trabajo de campo e informes
- Validación manual frente a escaneo automatizado
- Reglas de compromiso y autorización para pruebas
Configuración del espacio de trabajo, alcance y captura de tráfico
- Configuración de proxy, navegador y TLS
- Reglas de alcance y protección contra elementos fuera de alcance
- Archivos de proyecto y manejo de sesiones para evidencia
Análisis de tráfico HTTP/HTTPS y mapeo de aplicaciones
- Estructura de solicitudes y respuestas, encabezados y cookies
- Mapa del sitio, descubrimiento de contenido y puntos finales ocultos
- Revisión de tráfico de API y JSON
Validación de configuración de seguridad y control de transporte
- Revisión de configuración de encabezados, cookies y CORS
- Ajustes de TLS, métodos HTTP y divulgación de errores
- Comparación contra líneas base de configuración acordadas
Pruebas de controles de autenticación
- Comportamiento del inicio de sesión, MFA y políticas de credenciales
- Fijación de tokens de sesión, fijación de sesión y manejo del cierre de sesión
- Debilidades en la validación de tokens y JWT
Pruebas de autorización y control de acceso
- Pruebas de privilegios horizontales y verticales entre roles
- Referencias de objetos directos inseguras y navegación forzada
- Evidencia de la matriz de roles y comparación lado a lado
Inyección, manejo de entradas y validación fuera de banda
- Confirmación de inyecciones sin cargas destructivas
- Pruebas de cross-site scripting (XSS) y puntos de entrada (sinks) del lado del cliente
- Casos ciegos y fuera de banda con Collaborator
Pruebas de lógica de negocio y flujos de trabajo
- Aplicación de flujos de trabajo de varios pasos y secuencias
- Manipulación de parámetros de precio, cantidad y aprobación
- Reenvío, condiciones de carrera y abuso de acciones repetidas
Cobertura asistida por escáner, extensiones y asistencia por IA
- Configuración de rastreo y auditoría para cobertura con alcance definido
- Triage de problemas y validación de falsos positivos
- Comprobaciones personalizadas con BChecks y extensiones
- Burp AI y pruebas agénticas con límites de manejo de datos
Recolección de evidencia y documentación de auditoría
- Evidencia de solicitudes y respuestas con marcas de tiempo
- Redacción de datos sensibles y manejo de evidencia
- Mapa de hallazgos a OWASP Top 10:2025, WSTG y CWE
- Calificación de riesgos con CVSS v4.0 y criterios de auditoría
Trabajo de cierre: Evaluación de controles de aplicación web de extremo a extremo
- Evaluación con alcance definido de una aplicación de entrenamiento
- Papeles de trabajo, registro de hallazgos y reunión de cierre
Requerimientos
- Experiencia en auditoría de TI y evaluación de seguridad de TI
- Conocimiento práctico de riesgos tecnológicos, controles de seguridad y protocolos de red
- Familiaridad con HTTP/HTTPS y el marco de referencia OWASP
- Uso básico a intermedio de herramientas de pruebas de seguridad web como Kali Linux y OWASP ZAP
Público objetivo
- Auditores de TI sénior y semi-sénior
- Evaluadores de riesgos tecnológicos y controles de seguridad
Formación Corporativa a Medida
Soluciones de formación diseñadas exclusivamente para empresas.
- Contenido personalizado: Adaptamos el temario y los ejercicios prácticos a los objetivos y necesidades reales del proyecto.
- Calendario flexible: Fechas y horarios adaptados a la agenda de su equipo.
- Modalidad: Online (en directo), In-company (en sus oficinas) o Híbrida.
Precio por grupo privado (formación online) desde 4350 € + IVA*
Contáctenos para obtener un presupuesto exacto y conocer nuestras promociones actuales
Reseñas (1)
Esta formación me permitió ampliar mis conocimientos y mi comprensión de Burp Suite. Además, me di cuenta de que lo que había aprendido por cuenta propia seguía siendo bastante limitado. El curso me resultó de gran ayuda como profesional de QA, ya que Burp Suite es una herramienta valiosa para realizar pruebas de seguridad y mejorar la calidad global de la prueba de aplicaciones. Continuaré explorando esta herramienta y profundizando en sus funciones y capacidades.
Rea Mendez - BAKAWAN Data Anallytics Inc.
Curso - OWASP Top 10 2025
Traducción Automática
